プラグ＆プレイからOTA（無線）侵害へ：Herilary C-4 CarPlayハックがEUサイバーレジリエンス法への警鐘である理由
サイバーセキュリティ・インサイトレポート
ワイヤレスApple CarPlayは現代のドライバーにとって魅力的な機能となり、旧式のインフォテインメントシステムのギャップを埋めるアフターマーケット向けUSBドングル市場が急拡大しています。しかし、ケーブル不要の接続という利便性の裏には、看過できないセキュリティ上の見落としが隠れていることが少なくありません。
セキュリティ研究者Louis Erbkamm氏が、IT4Secのサイバーセキュリティ・ニュースレターで取り上げられた50ドルの「Herilary C-4」CarPlayドングルを調査したところ、壊滅的な脆弱性の連鎖が明らかになりました。わずか数時間で、Erbkamm氏はローカルの攻撃者がゼロクリックでOTA（無線）侵害を達成し、1分未満で永続的なrootシェルを確保できることを実証しました。
この研究は興味深い技術的ケーススタディであるだけでなく、欧州連合（EU）で施行が迫るサイバーレジリエンス法（CRA）が単なる官僚的な規制ではなく、消費者の安全にとって絶対に必要であることを示す明白な例でもあります。ここでは、攻撃の構造を深掘りし、この種のデバイスが欧州市場で間もなく厳しい法的審判に直面する理由を解説します。
攻撃の構造：OTA（無線）によるファームウェア乗っ取り
Herilary C-4は、Allwinner V831 SoC上で動作する標準的な組み込みLinuxシステムとして動作します。iPhoneと通信するために、このドングルは独自のWi-Fiアクセスポイントをブロードキャストします。そこからセキュリティはほぼ即座に崩れ始めます。
1. 玄関が開け放たれている
初期の攻撃ベクターに高度なクラックは不要です。このデバイスは、世界共通でハードコードされた変更不能のパスワードで保護されたWi-Fiネットワークをブロードキャストします。車両の近くに物理的にいる人物であれば、デフォルトの認証情報をオンラインで調べてドングルのネットワークに接続できます。
2. 認証なしのWebインターフェース
ネットワークに接続すると、攻撃者はOTA（無線）アップデートとログ管理に使用されるドングルのローカルWebインターフェースにアクセスできます。Erbkamm氏は、このインターフェースに認証が一切ないことを発見しました。ネットワーク上の任意のクライアントがCommon Gateway Interface（CGI）エンドポイントとやり取りできます。
3. ファームウェア完全性という幻想
デバイスのアップデート機構を解析した結果、研究者はファームウェアパッケージ（SWUpdate形式）が完全に暗号化されていないことを突き止めました。さらに重大なのは、デバイスが暗号学的な署名検証（セキュアブートや署名付きOTAアップデートなど）を強制していない点です。唯一の完全性チェックは初歩的なMD5チェックサムのみで、攻撃者が容易に再計算できるハッシュアルゴリズムです。
4. root権限の獲得
ファームウェアが未認証であるため、Erbkamm氏はファームウェアを抽出し、内部のLinuxファイルシステムを改変して、起動スクリプトにカスタムCGI Webシェルを注入できました。ファームウェアを再パックしMD5ハッシュを再計算した後、単一の`curl`コマンドで悪意あるアップデートをドングルに投入できました。
デバイスはそのファイルを喜んで受け入れ、書き換えを実行して再起動しました。ドングルには権限分離がなく、すべてのサービスを`root`（UID 0）で実行しているため、注入されたWebシェルにより、攻撃者は即座に永続的かつ未認証の管理者権限を得られました。
IoTホラーの展示室
rootシェルは氷山の一角にすぎませんでした。分解調査により、ずさんな設計・実装が次々と明らかになりました。
- ハードコードされたクラウド認証情報：ファームウェアには、ユーザーの診断ログ（MACアドレスやシステムデータを含む）を中国のサーバーへアップロードするためのAlibaba Cloudアクセスキーがハードコードされていました。プライバシーポリシーもユーザー同意もありませんでした。
- ネットワークフィルタリングなし：デバイスにはiptables等の基本的なファイアウォールがありません。すべてのサービスが0.0.0.0で待ち受け、Wi-Fiネットワーク上の誰に対しても十数個のTCPポートを露出しています。
- 安易なパスワード：/etc/shadowファイルに、解析可能なDESハッシュのデフォルトrootパスワードが存在していました。
- 偽造ハードウェア：デバイスは偽造のApple MFi（Made for iPhone）認証チップを使用しており、セキュリティ上および法的なリスクを伴います。
- 開示ルートなし：「Herilary」ブランドはホワイトラベルの実体で、連絡可能なセキュリティ窓口がなく、責任ある脆弱性開示が不可能でした。
EUサイバーレジリエンス法（CRA）の登場
長年、IoTおよびコンシューマーエレクトロニクス市場は「出荷して終わり（ship-it-and-forget-it）」という発想で動いてきました。2024年後半に発効し、2026年および2027年に厳格な施行期限が迫るEUサイバーレジリエンス法（EU 2024/2847）は、まさにこのパラダイムを終わらせるために設計されています。
Herilary C-4を、今後導入されるCRAの要件で評価すると、複数の重要要件で致命的に不適合となるでしょう。
1. 設計段階およびデフォルトでのセキュリティ
CRAは、共通のデフォルトパスワードの使用を禁止します。新規規制の下では、デバイスは初期化時にユーザーに固有のパスワード設定を求めるか、デバイスごとに固有でランダム化された認証情報を同梱して出荷しなければなりません。C-4の変更不能なWi-Fiキーは、この要件に明確に違反します。さらにCRAは、攻撃対象領域を最小化するようデバイスを設計することを求めています。すべての組み込みサービスを`root`で実行し、ローカルファイアウォールも欠くことは、最小権限の原則に反します。
2. 安全で認証されたアップデート
CRAは、デジタル要素を含む製品に対し、ソフトウェアアップデートの完全性と真正性を確保することを明確に要求します。回避可能なMD5チェックサムに依存する時代は終わりました。メーカーは、正当なメーカー承認コードのみがデバイスに書き込まれることを保証するため、（非対称鍵ペアのような）暗号学的署名の実装を法的に求められます。
3. 脆弱性対応と開示
Erbkamm氏がベンダー連絡先を見つけられなかった事実は、巨大な構造的問題を浮き彫りにしています。CRAの下では、脆弱性管理はもはや任意ではありません。2026年9月以降、メーカーは次を実施しなければなりません。
- セキュリティ研究者向けの明確で公開された連絡窓口を維持する。
- 正式な脆弱性対応プロセスを文書化する。
- 悪用が確認されている脆弱性を、発見から24時間以内に欧州連合サイバーセキュリティ機関（ENISA）および各国CSIRTへ報告する。
ホワイトラベルの販売事業者は匿名のサプライチェーンの背後に隠れることはできなくなり、EU市場に製品を投入する主体が法的責任を負います。
4. データ保護とプライバシー
ユーザー同意なしに、ハードコードされたAPIキーを用いてデバイスログをクラウドストレージへ自動流出させる行為は、保存・送信データの機密性保護を求めるCRA要件に明白に違反します。デバイスはデフォルトでデータ保護を有効化して出荷され、テレメトリが安全で透明性があり、オプトインであることを確保しなければなりません。
結論
Herilary C-4は、消費者向けIoTが抱える破綻した現状を凝縮した存在です。ドライバーが安価なドングルを車に挿し込むと、知らぬ間に、開放的で脆弱なLinuxサーバーを車両のローカルネットワークに招き入れてしまいます。
EUサイバーレジリエンス法は、説明責任における地殻変動級の転換を意味します。違反時の制裁金は最大1,500万ユーロまたは全世界年間売上高の2.5%に達し得るため、メーカーはもはやセキュリティを後回しにできません。Erbkamm氏の研究は、これらのデバイスを悪用する障壁が危険なほど低いことを示しています。CRAにより、それらを販売するための法的ハードルは、まもなく越えがたいものになります。